高质量，病毒

老衲法號帅哥

大家不要在实机打开，后果自负



http://115.com/file/c2n2gy1m#Download\r\n看看1.rar

酱紫啊~

nis




完整路径: C:\Documents and Settings\wen\桌面\看看1\看看.exe
____________________________
____________________________
签名:
不可用
识别时间:
2012-6-14 ( 0:22:09 )
上次使用时间:
不可用
启动项:
否
版本号:
1.0.0.0
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
未知
有关此文件的信息不足，无法推荐它。
____________________________
来源

源文件:
看看.exe
____________________________
文件指纹 - SHA:
f5f1e52340e313162bb60acb368e65199552b10780a0e976fb0363ee86c4f0af
____________________________
文件指纹 - MD5:
d806b45ad7f0c46db5c03992cdb20dc0
____________________________

双击样本一个变三个，如图，导致系统卡爆了

老虎猫

   是实机，所以不敢让他整出系统进程。

主动防御

360 QVM07

Nocria

To ESET.




DeepGuard 拦截一个衍生物：

更改权限后：

老虎猫

酱紫啊~ 发表于 2012-6-14 00:17
nis

还是不拦截比较壮观！1变3，赚了。

Nocria

F-Secure killed.

C:\Documents and Settings\Fujitsu\桌面\看看1\看看.exe - Trojan:W32/DelfInject.R (virus)

a256886572008

重要動作就這個

Howl

未知邮件蠕虫
程序：
Z:\看看.PART1\看看.EXE
蠕虫程序生成以下文件：
1) Z:\看看.PART1\LSASSS.EXE
2) Z:\看看.PART1\SMSS.EXE
3) Z:\看看.PART1\SMSSS.EXE
是否删除蠕虫程序及其衍生物?

wjcharles

酱紫啊~ 发表于 2012-6-14 00:17
nis

你的下载分析失效了。。。我这母体和衍生物运行前都会有这种弹窗，放行后sonar杀了个干干净净



全部都放行



有好几个日志



都复制出来


完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/6/14 ( 1:58:53 )
上次使用时间 2012/6/14 ( 1:58:53 )
启动项目 否
已启动 是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________
http://119.147.150.78/gdown_grou ... ACHvGBO1LWQ1727030/看看1.rar?k=x4-fx7Pgafw8d5FS-lC7Pw&t=1339610617&u=1019175695-2643991-c2n2gy1m&s=153600&file=看看1.rar 已下载文件lsasss.exe自
119.147.150.78



lsasss.exe
____________________________
文件操作
事件: 正在运行进程: c:\users\sshss\downloads\看看1\lsasss.exe
已终止
事件: 正在运行进程: c:\users\sshss\downloads\看看1\smsss.exe
已终止
受感染文件: c:\users\sshss\downloads\看看1\lsasss.exe
已删除
受感染文件: c:\users\sshss\downloads\看看1\smss.exe
已删除
受感染文件: c:\users\sshss\downloads\看看1\smsss.exe
已删除
____________________________
网络操作
事件: 网络活动 (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
事件: 网络活动 (执行者 c:\users\sshss\downloads\看看1\smsss.exe, PID:20620)
未采取操作
____________________________
系统设置操作
事件: 浏览器进程启动 (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
事件: PE 文件创建: c:\users\sshss\downloads\看看1\smss.exe (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\看看1\smss.exe, PID:9828)
未采取操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\看看1\smsss.exe, PID:16688)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\看看1\smss.exe, PID:9828)
未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\看看1\smsss.exe, PID:16688)
未采取操作
____________________________
文件指纹 - SHA:
f5f1e52340e313162bb60acb368e65199552b10780a0e976fb0363ee86c4f0af
____________________________
文件指纹 - MD5:
d806b45ad7f0c46db5c03992cdb20dc0
____________________________





完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 不可用
上次使用时间  ( )
启动项目 否
已启动 是
____________________________
____________________________
未知
诺顿社区中使用此文件的用户数量: 未知
____________________________
未知
此文件版本当前未知。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

____________________________
文件操作
事件: 正在运行进程: c:\users\sshss\downloads\看看1\smsss.exe
已终止
事件: 正在运行进程: c:\users\sshss\downloads\看看1\lsasss.exe
已终止
受感染文件: c:\users\sshss\downloads\看看1\smsss.exe
不需要操作
受感染文件: c:\users\sshss\downloads\看看1\lsasss.exe
不需要操作
受感染文件: c:\users\sshss\downloads\看看1\smss.exe
不需要操作
____________________________
网络操作
事件: 网络活动 (执行者 c:\users\sshss\downloads\看看1\smsss.exe, PID:20620)
未采取操作
事件: 网络活动 (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\看看1\smsss.exe, PID:16688)
未采取操作
事件: 浏览器进程启动 (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
事件: PE 文件创建: c:\users\sshss\downloads\看看1\smss.exe (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\看看1\smss.exe, PID:9828)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\看看1\smsss.exe, PID:16688)
未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\看看1\smss.exe, PID:9828)
未采取操作
____________________________
文件指纹 - SHA:
32b1c5f1ecc32f364bb3ba8926f36a5f26111b1342a401928aafc36043b1a285
____________________________
文件指纹 - MD5:
170d1c854c65b4680d4ce803e75d3cba
____________________________




完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 不可用
上次使用时间  ( )
启动项目 否
已启动 是
____________________________
____________________________
未知
诺顿社区中使用此文件的用户数量: 未知
____________________________
未知
此文件版本当前未知。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

____________________________
文件操作
文件: c:\users\sshss\downloads\看看1\smsss.exe
不需要操作
文件: c:\users\sshss\downloads\看看1\lsasss.exe
不需要操作
文件: c:\users\sshss\downloads\看看1\smss.exe
不需要操作
____________________________
网络操作
事件: 网络活动 (执行者 c:\users\sshss\downloads\看看1\smsss.exe, PID:20620)
未采取操作
事件: 网络活动 (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\看看1\smsss.exe, PID:16688)
未采取操作
事件: 浏览器进程启动 (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
事件: PE 文件创建: c:\users\sshss\downloads\看看1\smss.exe (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\看看1\smss.exe, PID:9828)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\看看1\smsss.exe, PID:16688)
未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\看看1\lsasss.exe, PID:20304)
未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\看看1\smss.exe, PID:9828)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________